¿Cómo preparamos nuestra primera auditoría de certificación ISO 27001?

Empiece por el alcance y las pruebas, no por los documentos en sí mismos. Primero fije el alcance: qué organización, sedes, servicios y sistemas cubrirá el certificado, elegidos para que importen a los clientes y se puedan terminar. Después haga el trabajo central que exige la norma: evaluación y plan de tratamiento de riesgos, declaración de aplicabilidad, políticas y procedimientos obligatorios, funciones asignadas, concienciación del personal y controles que funcionen de verdad. Déjelos funcionar el tiempo suficiente para que generen registros, como revisiones de accesos, aprobaciones de cambios, tickets de incidentes, comprobaciones de proveedores y revisiones de la vigilancia, porque los auditores comprueban pruebas de funcionamiento, no intenciones. Haga una auditoría interna y una revisión por la dirección antes de la auditoría externa, y corrija lo que encuentren. Las auditorías de certificación suelen hacerse en dos fases: primero una revisión de la documentación y la preparación, luego una evaluación de si el sistema funciona en la práctica. Elija un organismo de certificación acreditado y mantenga separado al consultor que le ayuda del auditor. Para los controles de vigilancia, el mapa de red, el historial de alertas, el registro de auditoría y los informes de cumplimiento en PDF de NetSenX pueden formar parte de sus pruebas; NetSenX no audita ni certifica nada.

← Las 15 preguntas sobre Normas de seguridad: ISO 27001, SOC 2Todos los temas